Skip to content 
ISMS (Informationssicherheits-Managementsystem)
La sécurité de l’information ne naît pas de mesures isolées, mais d’un système qui identifie les risques, fixe des règles et contrôle régulièrement. Ce système s’appelle un SMSI. Il décide aussi du niveau de sécurité avec lequel d’anciens appareils et supports de données quittent votre entreprise.
En bref
Un SMSI (système de management de la sécurité de l’information) est l’ensemble des règles, responsabilités, processus et mesures par lesquels une organisation planifie, pilote, contrôle et améliore sa sécurité de l’information. La base la plus connue est la norme ISO/IEC 27001 et, en Allemagne, également le BSI IT-Grundschutz. Un SMSI comprend aussi des règles pour l’élimination sécurisée et la réutilisation des appareils et des supports de données.
Qu’est-ce qu’un SMSI ?
Un SMSI n’est pas un produit logiciel, mais un système de management. Il détermine quelles informations méritent d’être protégées, quels risques existent et qui met en œuvre quelles mesures. L’objectif est de garantir durablement la confidentialité, l’intégrité et la disponibilité des informations. Comme d’autres systèmes de management, un SMSI suit un cycle consistant à planifier, mettre en œuvre, contrôler et améliorer. Les spécialistes parlent du cycle PDCA (Plan, Do, Check, Act).
Composantes d’un SMSI
| Composant | Sommaire |
|---|---|
| Politique | Engagement de la direction en faveur de la sécurité de l’information, objectifs et principes |
| Périmètre | Quels sites, processus et systèmes le SMSI couvre |
| Rôles | Responsables, par exemple un responsable de la sécurité de l’information |
| Appréciation des risques | Identifier les menaces et les vulnérabilités, évaluer les risques, Besoin de protection à définir |
| Mesures | Mesures techniques et organisationnelles qui réduisent les risques |
| Documentation | Politiques, procédures et preuves |
| Contrôle et amélioration | Audits internes, revue de direction, actions correctives |
ISO/IEC 27001 et BSI IT-Grundschutz
La norme internationale ISO/IEC 27001 décrit les exigences applicables à un SMSI. Les entreprises peuvent s’y faire certifier par un organisme indépendant. Dans sa version de 2022, son annexe A contient un catalogue de 93 mesures réparties en quatre thèmes : organisationnel, humain, physique et technologique.
En Allemagne, le BSI IT-Grundschutz est également répandu. Le standard BSI 200-1 décrit les exigences applicables à un SMSI, le standard BSI 200-2 la démarche. Le Compendium IT-Grundschutz fournit des modules concrets avec des exigences, par exemple sur l’effacement et la destruction.
Le SMSI et le matériel informatique mis hors service
En fin de cycle de vie, on voit si un SMSI est réellement appliqué. L’ISO/IEC 27001 contient dans son annexe A des mesures propres aux supports de stockage, à l’élimination sécurisée ou à la réutilisation des appareils et à l’effacement des informations. Un bon SMSI définit donc :
- qui décide si un support de données est effacé ou détruit,
- comment les anciens appareils sont sécurisés jusqu’à l’enlèvement,
- quelles exigences un prestataire doit remplir,
- quelles preuves sont archivées par appareil.
Les mesures recoupent fortement les mesures techniques et organisationnelles (TOM) du RGPD. Un SMSI protège toutefois toutes les informations, pas seulement les données personnelles.
À retenir : un SMSI ne s’arrête pas à la salle des serveurs. Il s’applique à chaque appareil jusqu’à ce que ses données aient été supprimées de façon démontrable.
Le SMSI chez Second IT
Second IT est certifiée selon ISO/IEC 27001 et fait l’objet d’audits externes au moins trois fois par an. Pour les clients disposant de leur propre SMSI, Second IT fournit les preuves qui y sont nécessaires : certificats d’effacement signés numériquement par appareil, certificats de destruction, rapports d’audit dans le portail client et enregistrement continu par numéro de série. Les collaborateurs sont tenus au secret des données ; des accords de confidentialité sont conclus sur demande. En savoir plus sur le Secret des données et confidentialité. Notre guide montre quelles questions poser à un prestataire en amont Choisir un prestataire ITAD.
Questions fréquentes sur le SMSI
Quelle est la différence entre un SMSI et ISO 27001 ?
Le SMSI est le système de management lui-même. ISO/IEC 27001 est la norme qui décrit les exigences auxquelles un SMSI doit satisfaire. Une entreprise peut aussi construire un SMSI selon le BSI IT-Grundschutz.
Un SMSI est-il obligatoire ?
Pas pour toutes les entreprises. Pour certains secteurs et établissements, des lois exigent une gestion des risques pour la sécurité de l’information, et de nombreux clients l’exigent par contrat. Un SMSI en est le moyen habituel.
Quel rapport entre un SMSI et l’élimination du matériel ?
Un SMSI régit tout le cycle de vie des informations. Cela comprend l’effacement ou la destruction sécurisés des appareils et des supports de données en fin de vie, ainsi que leur documentation. L’ISO/IEC 27001 contient à cet effet des mesures propres.
Qui est responsable du SMSI dans l’entreprise ?
La direction de l’entreprise fixe la politique, les objectifs et les principes et s’engage en faveur de la sécurité de l’information. Les tâches quotidiennes sont assurées par des responsables désignés, par exemple un responsable de la sécurité de l’information. Les rôles sont définis par écrit dans le SMSI.
Quelle est la différence entre un SMSI et la protection des données ?
Un SMSI protège toutes les informations d’une entreprise, le RGPD seulement les données personnelles. Les mesures recoupent toutefois fortement les mesures techniques et organisationnelles (TOM) du RGPD. Les deux exigent par exemple un effacement sécurisé et des preuves.
Des preuves pour votre SMSI – certificat d’effacement par appareil et rapports d’audit dans le portail client.
Envoyez-nous votre liste d'appareils. Vous recevrez votre offre en 48 heures en moyenne.